Spraakdicteren en AVG: waar gaat uw stem heen?

Wanneer u een e-mail, rapport of processtuk dicteert, spreekt u vaak vertrouwelijke gegevens uit: namen, bedragen en dossierdetails. De vraag is dus niet alleen of transcriptie nauwkeurig is, maar waar uw stem naartoe gaat en wie erbij kan. Precies dat regelt de AVG. Deze gids legt uit wat de verordening van een hulpmiddel voor spraakdicteren vereist, waarom serverlocatie alleen niet genoeg is en hoe u een conforme, soevereine oplossing herkent.

Uw stem is een persoonsgegeven

Een stemopname is een persoonsgegeven onder de AVG zodra een persoon er direct of indirect mee identificeerbaar is. De stem zelf, een uitgesproken naam of een genoemd klantnummer valt onder de verordening; zodra iemand spreekt, is AVG dus relevant.

Dat maakt de stem niet automatisch een bijzonder gegeven. Een stem wordt pas biometrisch gegeven, een gevoelige categorie uit artikel 9 AVG, wanneer een systeem hem gebruikt om een spreker te herkennen of te authenticeren op grond van vocale kenmerken. Een dicteerhulpmiddel doet dat niet: het zet spraak om in tekst en identificeert niemand aan de hand van zijn stem.

• De audio is een persoonsgegeven maar geen biometrisch gegeven, omdat er geen stemidentificatie plaatsvindt.
• De gedicteerde inhoud kan zeer vertrouwelijk zijn: een medisch dossier, bankgegevens, een klantnaam en de aard van een geschil. Daar ligt het werkelijke risico.

Het gevaar is dus niet alleen dat de klank van uw stem u kan identificeren, maar vooral dat wat u dicteert wordt opgeslagen, hergebruikt of toegankelijk wordt voor derden. Daarom moet u precies weten wat een hulpmiddel met audio doet.

Wat de AVG werkelijk vereist van spraakdicteren

De AVG is meer dan een toestemmingsbanner. Voor een dienst die uw stem transcribeert zijn zes verplichtingen essentieel:

• Een duidelijk doel en rechtsgrond: gegevens dienen uitsluitend om uw transcriptie te maken.
• Dataminimalisatie: alleen strikt noodzakelijke gegevens mogen worden verwerkt.
• Opslagbeperking: gegevens niet langer bewaren dan nodig is. Voor dicteren is nulbewaring, audio direct na transcriptie verwijderen, de beste optie.
• Geen hergebruik: stem en tekst mogen niet zonder toestemming worden gebruikt om AI-modellen te trainen.
• Een geregelde verwerker: de aanbieder moet een verwerkersovereenkomst bieden die subverwerkers en waarborgen noemt.
• Beveiliging en gecontroleerde doorgiften: versleuteling, technische maatregelen en een streng kader wanneer gegevens de EU verlaten.

Deze punten zijn controleerbaar. Een serieuze aanbieder beantwoordt ze allemaal schriftelijk. Vooral doorgiften buiten de EU worden vaak verkeerd begrepen. De AI Act regelt dit niet: die bepaalt wat AI-systemen mogen doen, niet waar gegevens worden verwerkt of onder welk rechtsgebied een aanbieder valt. Zie ook onze gids over de AI Act voor bedrijven.

De aanbieder is uw verwerker: wat artikel 28 moet bevatten

Bij professioneel dicteren bent u verwerkingsverantwoordelijke en is de leverancier verwerker. Artikel 28 AVG vereist daarvoor een schriftelijke verwerkersovereenkomst. Lees in zo’n overeenkomst vooral deze onderdelen:

• Gedocumenteerde instructies: de leverancier verwerkt alleen op uw aanwijzing en voor het doel dat u vastlegt. Daarmee wordt hergebruik voor modeltraining verboden.
• Geheimhouding van personeel: iedereen met toegang heeft een geheimhoudingsplicht.
• Beveiliging uit artikel 32: versleuteling tijdens transport en opslag, toegangscontrole en herstelvermogen na een incident.
• Genoemde en geautoriseerde subverwerkers: de leverancier mag niet zonder toestemming een andere partij inschakelen en moet wijzigingen vooraf melden.
• Hulp bij rechten van betrokkenen: bij een verzoek om inzage of verwijdering moet de leverancier u helpen binnen de termijn te antwoorden.
• Verwijdering of teruglevering aan het einde van het contract en informatie die nodig is voor audits.

Een aanbieder die alleen zegt “AVG-conform” te zijn maar geen DPA of verwerkersovereenkomst toont, heeft uw vraag niet beantwoord. Vraag dit document vóór ondertekening, niet na een incident.

Bewaring en uw rechten

Opslagbeperking is de verplichting waarop dicteerhulpmiddelen het vaakst tekortschieten. Audio bewaren is voor een aanbieder handig voor kwaliteitscontrole en modelverbetering, maar de AVG stelt de simpele vraag hoe lang audio nodig is voor het afgesproken doel. Bij transcriptie is het eerlijke antwoord: de seconden die nodig zijn om tekst te maken. Alles daarboven is bewaring die moet worden gemotiveerd, gedocumenteerd en meegedeeld.

Bewaring bepaalt ook hoe bruikbaar uw rechten zijn. Inzage, rectificatie, verwijdering en dataportabiliteit gelden voor wat een leverancier bewaart. Bij echte nulbewaring is er op de server niets meer in te zien of te verwijderen: audio bestaat niet meer en tekst staat op uw eigen apparaat. Bewaart een tool een geschiedenis van dictaten, dan moet de aanbieder die rechten binnen één maand kunnen uitvoeren.

Doorgiften buiten de EU en de rechtsgebiedsvraag

De artikelen 44 en volgende AVG regelen wat gebeurt wanneer gegevens de Europese Unie verlaten. Een Amerikaanse aanbieder steunt in de praktijk op het Data Privacy Framework of op standaardcontractbepalingen van de Europese Commissie. Zo wordt de doorgifte rechtmatig, maar dat is slechts de helft van de analyse.

De andere vraag is welke staat een leverancier kan verplichten gegevens af te geven zodra hij ze heeft. De Amerikaanse CLOUD Act bereikt aanbieders onder Amerikaanse jurisdictie, ongeacht waar de servers staan. “Gehost in Europa” en “buiten bereik van Amerikaanse autoriteiten” zijn dus niet hetzelfde. Onze gids CLOUD Act en Europa behandelt de rechtspraak, het beroep tegen het DPF en controles die u zelf op een leverancier kunt uitvoeren.

Wat de AVG van u vraagt, niet alleen van de tool

Een conforme leverancier kiezen neemt uw eigen verplichtingen niet weg. Drie daarvan gelden zodra u beroepsmatige inhoud dicteert:

• Uw register van verwerkingsactiviteiten, artikel 30. Dicteert u persoonsgegevens, neem dan doel, categorieën gegevens, aanbieder als verwerker, bewaartermijn en eventuele doorgifte op. Voor kleine organisaties vervalt de uitzondering onder 250 medewerkers zodra verwerking niet incidenteel is of vertrouwelijke klantgegevens betreft.
• Een DPIA, artikel 35, of niet. Een gegevensbeschermingseffectbeoordeling is nodig wanneer verwerking waarschijnlijk een hoog risico oplevert. Eigen spraak naar tekst zonder bewaring of biometrische identificatie haalt die drempel meestal niet. Op grote schaal gevoelige gegevens dicteren, bijvoorbeeld gezondheidsgegevens, verandert de beoordeling; de plicht ligt dan bij u als verantwoordelijke.
• De personen over wie u spreekt. Bij een klantdossier is die klant ook betrokkene. Uw privacyverklaring dekt dit vaak al, maar moet weerspiegelen dat een verwerker de inhoud transcribeert. Hetzelfde geldt voor een prospect waarvan u gespreksnotities dicteert; zie spraakdicteren voor verkoopteams.

Beroepen met geheimhouding: advocaten, notarissen en accountants

Voor advocaten, notarissen en accountants komt bij AVG een strengere plicht: beroepsgeheim. Een cliëntnaam en de aard van een zaak dicteren in een tool die tot afgifte kan worden gedwongen, stelt informatie bloot die onder dat geheim valt.

Het Franse Conseil National des Barreaux benadrukt in zijn ethische gids voor AI dat AI-gebruik nooit het opheffen van beroepsgeheim rechtvaardigt en dat gegevens die daaronder vallen nooit aan consumenten-AI mogen worden toevertrouwd. Oplossingen die in de EU worden gehost en vragen niet hergebruiken voor modeltraining hebben een lager risicoprofiel. Pas daarom vier tests toe: verwerking in de EU, nulbewaring, geen hergebruik en een leverancier die niet onder extraterritoriale wetgeving valt. Meer hierover staat in onze gids spraakdicteren voor juristen.

Vijf vragen vóór u een dicteerhulpmiddel kiest

1. Bewaart u mijn audio en transcripties? Het gewenste antwoord: nee, direct verwijderen na transcriptie.
2. Worden mijn gegevens gebruikt om modellen te trainen? Het gewenste antwoord: nee.
3. Waar en door welke onderneming worden mijn gegevens verwerkt? Zoek verwerking in de EU door een Europese onderneming, niet alleen een datacenter in Europa.
4. Valt u onder de CLOUD Act of andere extraterritoriale wetgeving? Een Europese leverancier zonder Amerikaanse moedermaatschappij kan nee zeggen. Bij een ontwijkend antwoord helpt onze gids over de CLOUD Act u dit te controleren.
5. Biedt u een artikel 28-conforme verwerkersovereenkomst? Voor professioneel gebruik is dit essentieel.

De strengste optie: volledig lokaal

Wie absoluut wil garanderen dat zijn stem de computer nooit verlaat, kiest volledig lokale verwerking. Er gaat niets online: AVG-doorgiften noch de CLOUD Act spelen dan mee, omdat gegevens niet naar een derde gaan. Open-sourcehulpmiddelen zoals Handy kunnen transcriptie op de eigen machine uitvoeren.

De afweging is reëel. Zoals we uitleggen in lokaal versus cloud-spraakdicteren, blijft volledig lokaal meestal bij ruwe transcriptie zonder AI-opmaak en heeft het een vrij krachtige computer nodig. Voor veel professionals is de vraag daarom hoe zij het gemak van cloud, schone tekst in elke app en iedere computer terugkrijgen zonder soevereiniteit op te geven.

De aanpak van Fast Dictate

Fast Dictate is een Europees alternatief dat deze vragen rechtstreeks beantwoordt:

• Nulbewaring op elk abonnement. Audio wordt getranscribeerd en onmiddellijk verwijderd, en nooit voor modeltraining hergebruikt.
• Pro: verwerking uitsluitend in Frankrijk op ISO/IEC 27001-gecertificeerde servers, buiten de CLOUD Act, met uitgebreide AVG-verwerkersovereenkomst.
• Free en Standard: snelle internationale infrastructuur, nog steeds met nulbewaring.
• Werkt overal: Word, Gmail, Notion, browser en ieder tekstveld, met één sneltoets op Windows en Mac.
• Gratis: 2.000 woorden per week zonder creditcard.

Veelgestelde vragen